Windows 用 Intune 管理拡張機能

Intune 管理拡張機能 (IME) は、Windows デバイス管理 (MDM) を強化するインストーラー エージェントです。 高度なデバイス管理機能を有効にすることで、標準の Windows MDM 機能を補完します。

この機能は、以下に適用されます。

• サポートされている Windows バージョン (S モードで実行されている Windows Home および Windows デバイスを除く)。

前提条件

Intune 管理拡張機能には次の前提条件があります。 前提条件が満たされている場合、PowerShell スクリプトまたは Win32 アプリがユーザーまたはデバイスに割り当てられると、Intune 管理拡張機能が自動的にインストールされます。

• サポートされている Windows バージョンを実行しているデバイス。 Intune 管理拡張機能は、S モードで非ストア アプリの実行を許可しないため、Windows (S モード) をサポートしていません。

• 以下を含む Microsoft Entra ID に参加しているデバイス:

  • 参加済みの Microsoft Entra ハイブリッド: Microsoft Entra ID とオンプレミスの Active Directory (AD) に参加しているデバイス。 ガイダンスについては、「Microsoft Entra ハイブリッド結合の実装を計画する」を参照してください。

  • Microsoft Entra 登録済み/社内参加済み (WPJ): Microsoft Entra ID に登録されているデバイス。 詳細については、「 シームレスな第 2 要素認証としてのワークプレース参加」を参照してください。 これらは、[設定]>[アカウント]>[職場または学校へのアクセス] 経由で追加された職場または学校アカウントを持つ Bring Your Own Device (BYOD) デバイスです。

• 次を含む、Intune に登録されたデバイス:

  • グループ ポリシー (GPO) を使用して登録されたデバイス。 詳細については、「グループ ポリシーを使用して Windows デバイスを自動的に登録する」を参照してください。

  • デバイスは Intune に手動で登録されます。これは次の場合に発生します。

    • Intune への自動登録は Microsoft Entra ID で有効になっています。 ユーザーはローカル ユーザー アカウントを使用してデバイスにサインインし、デバイスを Microsoft Entra ID に手動で参加させます。 次に、Microsoft Entra アカウントを使用してデバイスにサインインします。

    または

    • ユーザーは Microsoft Entra アカウントを使用してデバイスにサインインし、Intune に登録します。

  • Configuration Manager と Intune を使用して共同管理されたデバイス。 Win32 アプリをインストールするときは、[アプリのワークロード] を [パイロット Intune] または [Intune] に設定します。 PowerShell スクリプトは、アプリのワークロードが Configuration Manager に設定されていても実行されます。 PowerShell スクリプトをデバイスにターゲットにすると、Intune 管理拡張機能がデバイスに展開されます。 デバイスは Microsoft Entra ID または Microsoft Entra ハイブリッドに参加していて、サポートされている Windows バージョンを実行している必要があります。 ガイダンスについては、次の記事を参照してください。

    • 共同管理とは
    • クライアント アプリ ワークロード
    • Configuration Manager のワークロードを Intune に切り替える方法

• ファイアウォールとプロキシ サーバーの内側にあるデバイスの場合は、Intune の通信を有効にします。 詳細については、「 PowerShell スクリプトと Win32 アプリのネットワーク要件」を参照してください。

Intune 管理拡張エージェントのインストールについて

前提条件を満たすデバイスの場合、特定の機能がユーザーまたはデバイスに割り当てられると、Intune 管理拡張機能が自動的にインストールされます。 次の機能が割り当てられている場合にインストールが行われます。

• PowerShell スクリプト
• 修復
• カスタム コンプライアンスの検出スクリプト
• Win32 アプリ
• エンドポイント分析
• リモート ヘルプ
• Intune のマネージド インストーラー
• 構成 MDM ポリシーを使用して Windows BIOS を更新する

エージェントは該当する場合は C:\ProgramData\Microsoft\IntuneManagementExtension\Logs でインストールされ、Windows デバイスのスタート メニューには表示されません。 エージェントは、Windows デバイスで実行されている場合、タスク マネージャーのサービスの下の IntuneManagementExtension として表示されます。

Intune 管理拡張機能

• IME は、Windows デバイスに割り当てられたインストールを受信するためにチェックインする前に、Intune サービスで暗黙的に認証します。
• IME は、Intune サービスを使用して 8 時間ごとに新規または更新されたインストールをチェックします。 このチェックイン プロセスは、MDM チェックインとは独立しています。
• IME は定期的に正常性チェックを実行して、Intune サービスへの接続を検証する場合があります。

Windows デバイスから Intune 管理 IME チェックインを手動で開始する

IME がインストールされている Windows デバイスで、ポータル サイトを開き、[設定>同期] を選択します。これにより、MDM チェックと IME チェックインが開始されます。

または、 タスク マネージャーを開き、サービス IntuneManagementExtension を見つけて右クリックし、[ 再起動] を選択します。 IntuneManagementExtension サービスは直ちに再起動し、Intune とのチェックインを開始します。

Intune 管理拡張機能の削除

IME は、次の条件でデバイスから削除されます。

• PowerShell スクリプトはデバイスに割り当てられなくなりました。
• Windows デバイスは管理されなくなりました。
• IME が 24 時間以上回復不能な状態である (デバイスの起動時間)。

一般的な問題と解決策

問題: Intune 管理拡張機能をダウンロードできない

考えられる解決策:

• デバイスは Microsoft Entra ID に参加していません。 デバイスがこの記事の 前提条件 を満たしていることを確認します。
• ユーザーまたはデバイスが属するグループに PowerShell スクリプトまたは Win32 アプリが割り当てられていません。
• デバイスが Intune サービスにチェックインできない。 たとえば、インターネットにアクセスできない、または Windows プッシュ通知サービス (WNS) にアクセスできないなどです。
• デバイスが S モードである。 Intune 管理拡張機能は、S モードで実行しているデバイスをサポートしていません。
• C:\Program Files (x86)\Microsoft Intune Management Extension\Microsoft.Management.Services.IntuneWindowsAgent.exe.configにある構成ファイルが破損していないか、手動で変更されていないことを確認します。
• Intune の自動インストール以外の方法 (スクリプト、手動インストール、再パッケージ化など) を使用してアプリがインストールされたかどうかを確認します。 サポートされているメカニズムは、デバイスが Intune サービスと同期したときの自動インストールのみです。
• Windows デバイスで、プロキシが (コンピューター全体ではなく) ユーザー レベルでのみ構成されている場合は、ユーザーがデバイスにサインインしていることを確認します。 または、 bitsadmin /util /setieproxy を使用して、BITS (バックグラウンド インテリジェント転送サービス) のプロキシを手動で構成します。 詳細については、 bitsadmin util および setieproxy を参照してください。

デバイスが自動的に登録されているかどうかをチェックするには:

1. [設定]>[アカウント]>[職場または学校にアクセスする] の順に移動します。
2. 参加しているアカウント >情報を選択します。
3. [高度な診断レポート] で、[レポートの作成] を選択します。
4. Web ブラウザーで、MDMDiagReport を開きます。
5. MDMDeviceWithAAD プロパティを探します。 プロパティが存在する場合、デバイスは自動的に登録されます。 このプロパティが存在しない場合、デバイスは自動的に登録されません。

Windows の自動登録を有効にするには、Intune で自動登録を構成する手順が含まれています。

問題: Microsoft Intune Windows エージェント アプリが自動的に無効になる

Microsoft Intune Windows エージェントは、Microsoft Entra ID アプリです。 IME エージェントは、Microsoft Intune Windows エージェント アプリを使用してゲートウェイに対する認証を行い、他のアプリ、スクリプト、およびその他の重要なペイロードを取得します。 このアプリケーションは、どのサブスクリプション ベースのライフサイクル フローにもリンクされていません。

状況によっては、管理者がアプリを再度有効にしても、Microsoft Intune Windows エージェント アプリがサブスクリプションの有効性チェックに失敗し、継続的に無効になることがあります。 無効にすると、IME エージェントは Microsoft Intune Windows エージェント アプリケーションに対するトークンを取得できず、ユーザーを対象とするペイロードは機能しなくなります。

考えられる解決方法:

Microsoft Graph API を使用して、できれば Graph エクスプローラーを使用して、organization テナントからサービス プリンシパルを削除します。

1. アプリケーション管理者ロールなどのサービス プリンシパルを削除できる organization 管理者アカウントを使用して、Graph エクスプローラーにサインインします。 右上隅に「サンプル テナント」ではなくテナント名が表示されていることを確認します。

   Microsoft Entra 組み込みロールの一覧と実行できる操作については、「Microsoft Entra 組み込みロール」を参照してください。

2. API エクスプローラー>servicePrincipals>{servicePrincipal-id}>DELETE を選択します。

3. Graph URL の構文で、 {servicePrincipal-id} をサービス プリンシパルの ID に置き換えます。

4. [ クエリの実行 ] を選択して削除を実行します。

Intune 管理拡張機能のログ

通常、クライアント コンピューターの IME ログは C:\ProgramData\Microsoft\IntuneManagementExtension\Logsにあります。 CMTrace.exe を使用して、これらのログ ファイルを表示します。

また、ログ ファイル AppWorkload.log を使用して、クライアントでの Win32 アプリ管理イベントのトラブルシューティングと分析を行います。 このログ ファイルには、IME によって実行されたアプリのデプロイ アクティビティに関連するすべてのログ情報が含まれています。

IME ログ ファイル

次の手順

• 作成したアプリがアプリの一覧に表示されます。 選択したグループに割り当てます。 詳細については、「Microsoft Intune を使用してグループにアプリを割り当てる」を参照してください。
• アプリのプロパティと割り当ての監視の詳細については、こちらを参照してください。 詳しくは、「Microsoft Intune でアプリの情報と割り当てを監視する」をご覧ください。